feat: add host-sec-check

skills/host-sec-check/references/access.md

@@ -0,0 +1,48 @@
+# 取证入口（无 sudo 时）
+
+目标用户常见情况：`sudo` 要密码，但在 `docker` 组。Docker 组等价于 root。
+
+## 读宿主机（绕过 preload）
+
+容器用自己的 libc，**不会**加载宿主机 `/etc/ld.so.preload`。
+
+```bash
+docker run --rm -i --privileged --pid=host --net=host -v /:/host alpine:latest \
+  cat /host/etc/ld.so.preload
+hexdump -C /host/etc/ld.so.preload   # 在容器内
+```
+
+列隐藏进程：
+
+```bash
+docker run --rm --privileged --pid=host alpine:latest sh -c \
+  'for d in /proc/[0-9]*; do
+     pid=${d#/proc/}
+     cmd=$(tr "\0" " " < "$d/cmdline" 2>/dev/null) || continue
+     [ -n "$cmd" ] && echo "$pid $cmd"
+   done'
+```
+
+## 改宿主机（systemctl / chattr）
+
+`chroot /host /usr/bin/chattr` 会加载宿主机 preload，可能 **stat 不到** 被藏文件。
+
+用发行版自带 chattr 操作 `/host/...`：
+
+```bash
+docker run --rm -i --privileged --pid=host --net=host -v /:/host ubuntu:latest bash -s <<'SH'
+chattr -i /host/etc/ld.so.preload
+: > /host/etc/ld.so.preload
+chattr +i /host/etc/ld.so.preload
+lsattr /host/etc/ld.so.preload
+SH
+```
+
+systemctl / reboot：
+
+```bash
+docker run --rm --privileged --pid=host --net=host alpine:latest \
+  nsenter -t 1 -m -u -i -n -- systemctl disable --now UNIT
+```
+
+不要用业务容器当跳板；用 `alpine`/`ubuntu` 临时 `--rm`。查到一半时 `docker ps` 里出现的随机名容器就是这个跳板。